4. Проектирование системы иб

Следующим этапом построения системы ИБ является ее проектирование.

Задача проектирования системы ИБ тесно связана с понятием архитектуры системы ИБ. Построение архитектуры системы ИБ, как интегрированного решения обеспечивают ряд преимуществ: интеграция подсистем позволяет снизить совокупную стоимость СИБ, повысить коэффициент возврата инвестиций при внедрении и улучшает управляемость системы ИБ, а следовательно, возможности отслеживания событий, связанных с ИБ.

Эффективность системы ИБ может быть достигнута, если все ее компоненты представлены качественными решениями, функционируют как единый комплекс и имеют централизованное управление. Система безопасности должна строиться на основе анализа рисков, и стоимость ее внедрения и поддержки должна быть адекватной существующим угрозам, то есть экономически обоснованной.

Интегрированная архитектура систем ИБ включает в себя набор следующих подсистем:

• подсистему защиты периметра сети и межсетевых взаимодействий (межсетевые экраны и т.п.);

• подсистему защиты серверов сети;

• средства защиты рабочих станций;

• подсистему мониторинга и аудита безопасности;

• средства обнаружения атак и автоматического реагирования;

• подсистему комплексной антивирусной защиты;

• средства анализа защищенности и управления политикой безопасности;

• средства контроля целостности данных;

• средства криптографической защиты информации;

• инфраструктуру открытых ключей;

• подсистему резервного копирования и восстановления данных;

• автоматизированную систему установки обновлений ПО;

• подсистему управления ИБ;

• подсистему аутентификации и идентификации;

• подсистему защиты внутренних сетевых ресурсов;

• подсистему защиты Web-ресурсов;

• подсистему контроля содержимого Интернет-трафика;

• подсистему физической защиты.

Проектируемая система информационной безопасности не обязательно будет содержать все подсистемы. Архитектура проектируемой системы ИБ будет определяться в соответствии с требованиями к проектируемой системе ИБ.

Остановимся подробнее на задачах, которые решаются с помощью компонентов комплексной системы ИБ.

Подсистема межсетевого экранирования

Система межсетевого экранирования (МЭ) обеспечивает:

• защиту от атак;

• защищенное соединение между офисами;

• защищенный удаленный доступ сотрудников к корпоративным ИТ-ресурсам.

Защита периметра корпоративной сети - первичная задача обеспечения информационной безопасности. Внутри периметра обычно функционируют наиболее критичные для компании системы - серверы с программными приложениями и базами данных, рабочие места пользователей, активное сетевое оборудование и др. Извне сеть компании должна быть абсолютно непрозрачной, иметь регламентированные интерфейсы и протоколы взаимодействия с "внешним миром".

Решая эту задачу, необходимо оградить компанию от сетей с низкой степенью доверия и при этом обеспечить легитимным пользователям удаленный доступ к внутренним ИТ-ресурсам компании.

Территориально распределенные офисы компании должны взаимодействовать через защищенные (доверенные) каналы связи, которые защищены от внешних угроз физически или средствами криптографии. Практикой доказано, что экономически выгодно и эффективно использование технологии виртуальных частных сетей (VPN). VPN позволяют скрывать структуру и передаваемый в защищенном канале трафик, поэтому их можно включать в защищенный периметр сети.

Создание непрозрачной сферы, ограждающей сеть компании, реализуется средствами межсетевого экранирования. Такое решение называется шлюзом безопасности. Один из лидирующих на рынке продуктов по обеспечению безопасности периметра - решение Check Point FireWall-1. У шлюзов безопасности есть и другие полезные возможности: балансировка нагрузки на внутренних серверах сети и использование аппаратных ускорителей криптографических операций.

Выбор конкретного решения для обеспечения безопасности периметра, естественно, зависит от размера компании. Для малого офиса, филиала компании или удаленной группы пользователей, не имеющих выделенных сотрудников для управления МЭ, требуется надежное и недорогое решение, реализующее технологии шлюза безопасности, балансировку трафика, поддержку резервирования провайдера и автоматическую кластеризацию (например, Check Point Safe@Office). Для компаний или филиалов среднего масштаба, имеющих более полусотни пользователей и несколько МЭ, необходимы решения другого класса, предоставляющие возможности удобного, оперативного и централизованного управления всеми шлюзами безопасности периметра. Также желательно, чтобы в состав защищаемой сети включались VPN-клиенты мобильных пользователей. Предлагаемые таким компаниям решения должны быть отказоустойчивыми и поддерживать возможность балансировки нагрузки по требованиям к качеству обслуживания (QoS). Это решение необходимо и в случае, если компания использует антивирусы разных производителей (например, по рекомендации стандарта ЦБ РФ).

Крупным компаниям нужны решения, обеспечивающие максимальную гибкость и производительность, централизованное управление всеми подсистемами ИБ.

Кроме того, существуют специализированные решения для крупных компаний, имеющих потребность в применении и централизованном администрировании нескольких десятков шлюзов безопасности. Виртуальный шлюз безопасности представляет собой распределенную структуру, которую можно масштабировать и наращивать, обеспечивая требуемую производительность и гибкость.

Необходимо упомянуть еще один класс продуктов - средства обнаружения/предотвращения вторжений (IDS/IPS). Эти инструменты считаются обязательной составляющей любой системы ИБ и получили в последнее время широкое распространение. Лучшие решения этого класса позволяют проводить глубокий анализ активности на всех сетевых уровнях, обновлять в реальном времени базы признаков вторжений, оперативно оповещать администраторов о новых видах вторжений. Кроме того, предоставляются руководства, шаблоны конфигураций и инструменты противодействия вторжениям.